yossisassi/zerologon-exploitation-checkverificações rápidas e sujas para potencial exploração de CVE-2020-1472 (também conhecida como ZeroLogon), usando artefatos principais para determinar uma exploração real de CVE-2020-1472. requer acesso administrativo aos DCs
Script para automatizar verificações de potencial exploração do CVE-2020-1472 (também conhecido como ZeroLogon) no domínio. Este é um script muito "rápido e sujo" que automatiza alguns dos principais artefatos na determinação de uma exploração real do CVE-2020-1472, compilado de vários blogs. Idealmente, a segunda verificação (para eventos dos logs de eventos de Segurança e Sistema) pode ser feita a partir de um coletor de SIEM/Syslog/Eventos, que mantém eventos suficientemente antigos para detectar tais explorações. Observe que se os logs do netlogon não estavam habilitados no ambiente e os logs do DC foram sobrescritos por eventos mais recentes, uma exploração poderia ter ocorrido e não seria notada pelos artefatos restantes no ambiente verificado. Também é possível executar este script para detectar explorações futuras, embora existam outros métodos, de Rede/EPP etc (leia mais sobre o debug do netlogon antes de ativá-lo por um longo período de tempo).
